一次性醫(yī)療用品的安全認(rèn)證

在本應(yīng)用說明中，我們研究了實施安全、低成本的認(rèn)證方法的要求，該方法適用于整個供應(yīng)鏈中醫(yī)用耗材的接觸式和非接觸式連接。

現(xiàn)在，許多醫(yī)療都依賴于使用嵌入到一次性和消耗品中的先進技術(shù)。就本應(yīng)用紀(jì)要而言，一次性、消耗品和一次性用品通常是指在丟棄前打算使用有限次數(shù)的任何醫(yī)療物品。這些產(chǎn)品涵蓋了廣泛的應(yīng)用，從手術(shù)中使用的先進的基于導(dǎo)管的探頭到電外科工具、藥物輸送筆和藥瓶。其中許多耗材在丟棄之前只能使用一次，這種方法受到醫(yī)療和患者安全考慮的約束。

現(xiàn)在，許多醫(yī)療都依賴于使用嵌入到一次性和消耗品中的先進技術(shù)。就本應(yīng)用紀(jì)要而言，一次性、消耗品和一次性用品通常是指在丟棄前打算使用有限次數(shù)的任何醫(yī)療物品。這些產(chǎn)品涵蓋了廣泛的應(yīng)用，從手術(shù)中使用的先進的基于導(dǎo)管的探頭到電外科工具、藥物輸送筆和藥瓶。其中許多耗材在丟棄之前只能使用一次，這種方法受到醫(yī)療和患者安全考慮的約束。

為了保證患者的健康，許多一次性用品需要在受控條件下進行處理、滅菌和操作。對于某些產(chǎn)品，在一次使用后無法保證這些條件。世界各地的政府機構(gòu)已經(jīng)認(rèn)識到需要控制再利用并防止假冒，以解決患者安全的巨大相關(guān)風(fēng)險。醫(yī)療器械設(shè)計中的認(rèn)證和安全性是確保有限使用的醫(yī)療產(chǎn)品不能重復(fù)使用或使用次數(shù)過多，以及能夠有效和高效地檢測假冒產(chǎn)品并將其從供應(yīng)鏈中移除的基礎(chǔ)。

現(xiàn)在，許多耗材都具有電子功能，有助于提高可用性和準(zhǔn)確性。例如，許多脈搏血氧儀傳感器包含一個小型存儲設(shè)備和接口電子設(shè)備，可為儀器提供在制造過程中獲得的校準(zhǔn)數(shù)據(jù)。傳感器或其他類型的一次性產(chǎn)品存儲的其他信息有助于將其識別到與其一起使用的儀器。這有助于確保使用正確的傳感器，保障質(zhì)量控制，并跟蹤傳感器或工具以前是否使用過，如果是，使用過多少次。

到目前為止，政府機構(gòu)對假藥的關(guān)注最多。然而，在一次性設(shè)備方面采取的一個步驟是美國食品和藥物管理局（FDA）引入了唯一設(shè)備標(biāo)識（UDI）。這一要求沒有達到破壞高價值設(shè)備供應(yīng)鏈中遇到的復(fù)雜假冒活動所需的條件。

UDI 僅要求商品包含純文本形式的商品標(biāo)識符以及批次和序列號以及制造和有效期。如果制造商不采取其他措施來控制使用，則這些標(biāo)識符可能會被偽造或復(fù)制并投入使用。

電子保護為制造商提供了更多的功能和控制，并且可以通過在設(shè)備本身中嵌入序列號等數(shù)據(jù)，為 UDI 和類似法規(guī)的要求提供額外的支持。但是，在電子保護中單獨使用 UDI 數(shù)據(jù)并不是有效的保護，因為它可能會被知識淵博的造假者欺騙。

認(rèn)證解決方案可以通過接觸式或非接觸式電氣接口輕松添加到醫(yī)用一次性用品中。對于接觸式應(yīng)用，一次性儀器和主機儀器之間的機電連接器接口通常引腳受限，需要非常有效的解決方案。通過單個專用引腳同時操作電源和數(shù)據(jù)的性能認(rèn)證產(chǎn)品很好地解決了這一限制。對于非接觸式應(yīng)用，可以使用通過低成本無線接口（如RFID/NFC）運行的認(rèn)證產(chǎn)品。使用 RFID/NFC 的應(yīng)用示例包括不需要插入主機儀器的耗材，例如生物識別傳感器貼片、化學(xué)試劑瓶或用于藥物/液體輸送的容器。

在協(xié)議級別，驗證設(shè)備的最簡單電子方法是設(shè)置一個密碼，原則上，該密碼只有耗材制造商知道，并且任何兼容的主機儀器都能識別。附加后，主機請求密碼并根據(jù)自己的數(shù)據(jù)庫進行檢查。一個關(guān)鍵的缺點是攻擊者可以輕松竊聽通信。一旦記錄，相同的密碼可用于驗證許多假冒設(shè)備。

更好的方法是將秘密識別碼保存在設(shè)備內(nèi)，并使用質(zhì)詢-響應(yīng)協(xié)議來確定產(chǎn)品是否為正品。為了維護此類代碼的更好安全性，將協(xié)議基于廣泛使用和仔細分析的加密身份驗證機制是重要的一步。這就產(chǎn)生了兩種關(guān)鍵類型的質(zhì)詢-響應(yīng)方法：一種基于對稱密碼學(xué)，另一種基于非對稱密碼學(xué)。

對稱（也稱為密鑰）基于加密的身份驗證圍繞主機和消耗品共享的密鑰展開，在質(zhì)詢-響應(yīng)協(xié)議中，主機向設(shè)備發(fā)送一個隨機數(shù)作為質(zhì)詢。作為回報，它期望通過基于該隨機數(shù)和共享密鑰的計算生成的數(shù)字簽名，該計算使用對稱密鑰算法（如安全哈希）。主機運行相同的計算，如果來自耗材的響應(yīng)不同，它可以拒絕該部件。如果兩個計算匹配，則設(shè)備被視為真實設(shè)備。

為了確保黑客不能使用多輪質(zhì)詢和響應(yīng)來對計算中所做的步驟進行逆向工程，并在這樣做時檢索存儲的代碼或密鑰，至關(guān)重要的是，該函數(shù)具有強大的數(shù)學(xué)屬性，并且實際上是一個單向函數(shù)。這樣的函數(shù)在正向方向上很容易計算，但在數(shù)學(xué)上是不可逆轉(zhuǎn)的。SHA-2 和 SHA-3 安全哈希函數(shù)就是此類單向函數(shù)的示例。這兩種算法都是抗碰撞的——找到多個將產(chǎn)生給定輸出的輸入是不可行的。另一個特性是它們具有高雪崩效應(yīng)——輸入的任何變化，即使是單個位，都會在結(jié)果中產(chǎn)生顯著變化。

非對稱加密，也稱為公鑰，基本上使用密鑰對進行操作：公鑰和私鑰。需要保護的私鑰通常駐留在一次性物品上使用的身份驗證 IC 中。主機系統(tǒng)將使用與此 IC 私鑰關(guān)聯(lián)的公鑰。顧名思義，公鑰可以公開披露，而不會對系統(tǒng)安全實施造成風(fēng)險。對于身份驗證，這消除了對主機系統(tǒng)和一次性密鑰建立共享密鑰（如對稱情況）的要求，但代價是主機系統(tǒng)進行更復(fù)雜的數(shù)學(xué)實現(xiàn)。

質(zhì)詢-響應(yīng)協(xié)議遵循與對稱加密相同的廣泛方法。但主機將使用來自身份驗證器的公鑰，通過非對稱算法（如 ECDSA）驗證響應(yīng)簽名。使用該算法獲得的成功結(jié)果證明被身份驗證的設(shè)備知道秘密私鑰。同樣，該設(shè)備在不透露實際密鑰的情況下證明其真實性。

最適合身份驗證應(yīng)用程序的算法類型（對稱或非對稱）取決于幾個因素。從安全強度的角度來看，兩者在典型情況下是等效的。非對稱類型（如 ECDSA）的數(shù)學(xué)運算比對稱類型（如 SHA3）需要更多的計算資源。但是，這可以通過合適的主機處理器或?qū)Ｓ玫暮唵螀f(xié)處理器來克服。如果在主機端，身份驗證實現(xiàn)將在微型上完成，并且微型沒有保護敏感密鑰數(shù)據(jù)的安全功能，則非對稱效果很好。如前所述，非對稱公鑰可以公開披露，而不會對系統(tǒng)安全造成風(fēng)險。相反，對于對稱類型，解決方案的主機端將需要存儲一個機密，如果發(fā)現(xiàn)該機密，該機密會使安全解決方案面臨高風(fēng)險。而且，與非對稱一樣，對稱專用協(xié)處理器可用于解決主機端算法計算或密鑰存儲需求。那么，應(yīng)該使用哪一個呢？當(dāng)存在更嚴(yán)格的密鑰基礎(chǔ)結(jié)構(gòu)要求時，非對稱效果很好。例如，前面介紹的證書是為了證明身份驗證器 IC 公鑰是可信的。對稱在主機系統(tǒng)的深度嵌入邊界內(nèi)以及不需要公鑰基礎(chǔ)設(shè)施的附加一次性或消耗品中運行良好。

有了身份驗證解決方案，偽造者可能會試圖通過直接探測和攻擊身份驗證 IC 來檢索加密密鑰，從而破壞安全性。通過這種類型的攻擊，確定的造假者將使用專門的設(shè)備侵入設(shè)備包，試圖探測內(nèi)部總線并讀取或?qū)懭雰?nèi)存并注冊可能存儲密鑰的內(nèi)容。因此，必須在IC中設(shè)計對策以擊敗威脅。

可以使用各種方法來解決這種侵入性攻擊。例如，設(shè)計在IC中的篡改檢測電路可以主動監(jiān)控探測嘗試。如果檢測到事件，設(shè)備將拒絕正常運行，而是將任何密鑰和其他敏感數(shù)據(jù)清零。最近部署的另一個保護解決方案是物理不可克隆功能 （PUF）。從根本上說，PUF是一種電路，旨在利用半導(dǎo)體制造中存在的電氣特性的隨機變化來生成隨機數(shù)。例如，基于Maxim PUF的ChipDNA?安全認(rèn)證器根據(jù)IC本身精確但隨機的模擬特性動態(tài)生成密鑰。PUF非常適合加密密鑰/機密目的，因為它為每個IC產(chǎn)生的值是隨機的，但不會在所有工作條件下改變，并且無法通過侵入性攻擊或逆向工程工作發(fā)現(xiàn)或復(fù)制。除了加密操作的瞬時持續(xù)時間外，PUF 密鑰值永遠不會以數(shù)字形式存在于身份驗證器 IC 的電路中。此外，由于密鑰是根據(jù)電路元件的物理特性按需派生和生成的，因此它永遠不會存在于器件的非易失性存儲器中。如果探測，構(gòu)成PUF電路的敏感元件會永久改變其電氣特性，從而導(dǎo)致鍵值發(fā)生變化并且不再有效。這有效地使認(rèn)證IC無法操作，從而對任何破壞安全性的企圖具有明確的威懾力。

PUF 技術(shù)可以通過多種方式用于安全功能和身份驗證。在一個用例中，基于 ChipDNA 的身份驗證器在正常制造過程中安裝在耗材上。對于此示例，PUF 輸出在基于公鑰/私鑰的實現(xiàn)中充當(dāng)私鑰。之后，在測試或配置階段，測試設(shè)備向硬件和認(rèn)證IC發(fā)送命令，以根據(jù)PUF內(nèi)核生成的私鑰計算公鑰。實際的PUF輸出值本身永遠不會從IC中披露或讀出。

一旦擁有公鑰，醫(yī)療一次性制造商就會基于它和他們自己的公司私鑰創(chuàng)建證書。此證書寫入 ChipDNA 認(rèn)證器 IC 內(nèi)的受保護存儲器。該證書稍后將證明設(shè)備提供的公鑰與出廠時計算的公鑰相同，因此醫(yī)療主機儀器可以信任該公鑰 - 如果沒有公司私鑰，任何人都無法創(chuàng)建有效的證書。在現(xiàn)場使用時，易耗品通過使用 PUF 技術(shù)動態(tài)生成必要的私鑰來對任何消息進行簽名。只要主機儀器持有與該設(shè)備對應(yīng)的公鑰，它就可以驗證耗材是否真實。

除ChipDNA外，Maxim的DeepCover系列安全認(rèn)證器還支持多種功能，可用于支持防偽策略和安全管理醫(yī)療程序的使用。例如，某些 DeepCover 設(shè)備包括僅遞減計數(shù)器。當(dāng)此類計數(shù)器低于設(shè)定的閾值時，主機系統(tǒng)可以拒絕運行，直到一次性設(shè)備更換為新設(shè)備。通過使用Maxim的1-Wire?接口，可以將電源和串行數(shù)據(jù)提供給安全器件，從而避免了與耗材實現(xiàn)單獨的電源和數(shù)據(jù)連接，并最大限度地降低了任何機電連接器的成本。圖3所示為使用1-Wire接口的一次性醫(yī)療工具或傳感器示例。

支持 NFC 的身份驗證器允許與無法實現(xiàn)機電連接器的一次性產(chǎn)品一起使用。它們還為沒有固有電子功能但需要向醫(yī)療保健專業(yè)人員證明它們是真實且經(jīng)過驗證的耗材提供解決方案。許多DeepCover設(shè)備的另一個好處是它們能夠在伽馬或電子束輻射中幸存下來，一些醫(yī)療一次性用品會受到伽馬或電子束輻射進行滅菌。這些設(shè)備可抵抗高達 75kGy 的輻射暴露。

DeepCover技術(shù)可以通過多種方式使用。一個例子是智能導(dǎo)管，它使用超聲波等技術(shù)為外科醫(yī)生提供更清晰的患者動脈內(nèi)環(huán)境視圖。超聲換能器嵌入在設(shè)備的尖端，它使用串行連接將數(shù)據(jù)報告回主機儀器。在導(dǎo)管連接器內(nèi)運行的 DeepCover 設(shè)備能夠檢查其真實性和未使用，因此滿足此類關(guān)鍵應(yīng)用的所有滅菌和質(zhì)量要求。

嵌入在手術(shù)工具中的DeepCover設(shè)備可以使用通過低成本電氣接口發(fā)送的消息來控制身份驗證，還可以存儲制造過程中需要添加的校準(zhǔn)數(shù)據(jù)，以實現(xiàn)其設(shè)計提供的性能。

具有高內(nèi)在價值的非電子一次性用品，如藥瓶或化學(xué)試劑瓶，可以嵌入或連接到塑料上，具有支持NFC的小型DeepCover設(shè)備。相應(yīng)的NFC讀取器將對瓶子進行身份驗證，并對NFC安全IC執(zhí)行額外的基于使用情況的受保護寫入。隨著帶有嵌入式傳感器的一次性用品和耗材變得越來越普遍，除了身份驗證之外，加密傳輸?shù)街鳈C儀器的患者數(shù)據(jù)的能力將至關(guān)重要。這可以通過嵌入式DeepCover IC來支持。

DeepCover系列器件提供的一系列選項和功能，包括Maxim生產(chǎn)基礎(chǔ)設(shè)施中的可選密鑰/秘密個性化服務(wù)，還可以實現(xiàn)許多其他用例。

審核編輯：郭婷